home *** CD-ROM | disk | FTP | other *** search
/ HPAVC / HPAVC CD-ROM.iso / pc / ACOMPCOL.ZIP / USINGARJ.ZIP / BATALIA3.ZIP / BAT3BAT4.TXT < prev    next >
Encoding:
Text File  |  1997-06-28  |  1.8 KB  |  48 lines
  1. BAT.Batalia3,Batalia4
  2.  
  3. ---------------------------------------------------------------------------
  4. These are harmless nonmemory resident parasitic BAT viruses. They search
  5. for BAT files in the current directory, then infect them. While infecting a
  6. file the viruses run the ARJ archiver to the pack necessary files. If there
  7. is no ARJ.EXE file in PATH, the viruses fail to replicate themselves.
  8.  
  9. The viruses contain two parts of code and data. The first part (the header)
  10. contains DOS commands:
  11.  
  12.  "Batalia3":                "Batalia4":
  13.  
  14.  @echo off                  @echo off
  15.  rem YYY                    rem BAT4
  16.  arj x %0 -g½½b╤p▀ >nul     arj x %0 >nul
  17.  ren p Int                  call i
  18.  call i                     del sg
  19.  ren Int a.bat              del i.bat
  20.  echo on
  21.  @call a
  22.  @echo off
  23.  del i.bat
  24.  del a.bat
  25.  del BATalia3
  26.  
  27. The second part (the rest) is an ARJ archive. This archive contains the
  28. I.BAT file that is the main virus code and the additional files:
  29.  
  30.  "Batalia3": P, BATALIA3
  31.  "Batalia4": SG
  32.  
  33. The SG and BATALIA3 files contain several additional batch commands. The P
  34. file contains original code of infected BAT file (in case of "Batalia3"
  35. virus).
  36.  
  37. So, any infected file contains the text strings (DOS commands) and the
  38. binary data (ARJ archive).
  39.  
  40. When executed, the virus runs the ARJ archiver, extracts the files I.BAT
  41. and SG and runs I.BAT. This batch file searches for not infected BAT files
  42. in the current directory and infects them.
  43.  
  44. While infecting, the "Batalia4" virus appends its code to the end of files
  45. and does not modify the original file contents. "Batalia3" saves original
  46. BAT file to ARJ archive (file P) and overwrites it. As a result the length
  47. of a file infected by "Batalia3" may be less than before infection.
  48.